Si të modeloni një rrjedhë VPN me ASA packet-tracer

Packet-tracer në një ASA përgjigjet një pyetjeje të ngushtë: a do të lejohej ky paket, që hyn këtu me këtë tuple, dhe ku do të shkonte. Nuk përgjigjet nëse skaji i largët merr diçka. Gabimi i zakonshëm është të jepet një tuple IKE i jashtëm kur ajo që doni të provoni është aplikacioni që udhëton brenda tunelit. Së pari rregulloni tuple, lexoni fazat, dhe më pas merrni prova reale për gjithçka që simulatori nuk mund të shohë.

Ecja më poshtë supozon se ACL, rregulli NAT dhe konteksti tunnel-group janë përpara jush. Pa ato, dalja përshkruan një politikë që nuk mund ta kontrolloni.

Hapi 1: shkruani rrjedhën e brendshme me fjalë të thjeshta

Përshkruani aplikacionin përpara se të shkruani ndonjë gjë. Një host në brendësi që hap SSH drejt një serveri pas portës së largët është një rrjedhë e brendshme TCP me një port burimi të caktuar. Kjo është rrjedha që vlerësojnë ACL dhe filtri VPN, pra kjo është rrjedha që shkruani.

Shkruajeni si një fjali, pastaj përktheni fushë për fushë:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Hapi 2: zgjidhni hyrjen dhe drejtimin

Hyrja është ndërfaqja në të cilën paketi mbërrin, jo ajo nga e cila largohet. Për një host LAN që fillon, është ndërfaqja inside. Për paketin e kthimit të së njëjtës sesion, është ndërfaqja outside, dhe tuple përmbyset. Të shkruash destinacionin si burim është mënyra e dytë më e zakonshme për të fituar një ALLOW bindës por të parëndësishëm.

Edhe portat kanë drejtim. Porta e shërbimit i përket fushës së destinacionit për një kërkesë të filluar, dhe porta efemerale e klientit i përket fushës së burimit. Një model me destinacion TCP 500 përshkruan një aplikacion TCP që dëgjon në 500; nuk bëhet provë IKE vetëm sepse numri shfaqet në komandë.

Hapi 3: lexoni fazat sipas radhës

Çdo fazë në dalje është një vendim me pronar: kërkimi i rrugës, ACL, NAT, pastaj zgjedhja VPN ose tunel. Lexojini sipas radhës së shtypur dhe ndaloni në fazën e parë që nuk pajtohet me projektimin.

NAT shpesh i kap njerëzit. Nëse burimi i përkthyer bie jashtë crypto ACL që zgjedh trafikun për tunelin, rrjedha mund të lejohet dhe nuk inkapsulohet kurrë. Gjurma shtyp adresën e përkthyer, prandaj krahasojeni me trafikun interesant të tunelit dhe jo me adresën origjinale.

Hapi 4: kontrolloni cilat anashkalime zgjodhët

Forma detailed pranon opsione që kalojnë kontrollet, dhe Cisco dokumenton një opsion bypass-checks që mbulon ACL, filtrin VPN, uRPF dhe kontrollet e falsifikimit IPsec. Një ALLOW i marrë me ato të anashkaluara thotë se rruga dhe NAT do të funksiononin, jo se politika do të pranonte një paket real. Shënoni opsionet pranë rezultatit.

Nëse ju nevojitet përgjigja e politikës, ekzekutojeni pa anashkalimet. Nëse po izoloni një pyetje rrugëtimi, ekzekutojeni me ato dhe etiketoni rezultatin si përgjigje rrugëtimi.

Hapi 5: mbyllni hendekun me shkëmbimin real

Një leje e simuluar ndalon në ASA. Nëse porta e largët e deshifroi paketin, nëse serveri e pranoi lidhjen dhe nëse u kthye një përgjigje janë vëzhgime të ndara. Përdorni numërues skajsh ose një kapje të ngushtë në një rrugë të miratuar.

Disa opsione trace dhe replay transmetojnë paketa ose ruajnë gjendjen. Ndiqni sjelljen e dokumentuar për versionin tuaj dhe procedurën tuaj të miratuar diagnostikuese në vend që të trajtoni çdo variant si kërkim vetëm-lexim.

Çfarë gjurma ende nuk mund t'ju thotë

Mbani katër gjëra në një shënim: tuple, rregulli NAT që përputhet, tuneli ose politika që duhet të mbajë rrjedhën, dhe vëzhgimi specifik i drejtimit. Pa ato, një inxhinier i mëvonshëm nuk mund të ndajë një vendim lokal politike nga një plan kontrolli i vendosur dhe nga një shërbim që funksionon. Një dështim i parë i ndjekur nga sukses nuk është as provë se tuneli duhej të ngrihej në mes; shënoni fazën dhe ndryshimin e gjendjes.

Filloni me tuple e brendshme, ndaloni në fazën e parë që kundërshton projektimin, dhe vetëm atëherë kërkoni prova skaji. Gjurma është një orakull politike, jo një faturë dorëzimi.